Napadený web SZÚ ukazuje, že i „jen“ veřejná stránka může být firemním problémem

1. Co se stalo

Útočníci měli využít zranitelnost webu. Z veřejně dostupných informací ale není zřejmé, o jaký typ zranitelnosti šlo, kdy přesně k útoku došlo ani jak dlouho měli útočníci k webu přístup. Není také uvedeno, zda došlo ke ztrátě, úniku nebo změně dat. Stejně tak není potvrzeno, že by útok zasáhl další systémy Státního zdravotního ústavu nebo širší zdravotnickou infrastrukturu.

Důležitá je proto hranice mezi tím, co je potvrzené, a tím, co zatím zůstává nejasné. Potvrzeno je napadení oficiálního webu a jeho následná nedostupnost v původní podobě. Zpráva hackerské skupiny se na webu objevila, což znamená, že útočníci dokázali ovlivnit jeho obsah nebo jeho prezentaci návštěvníkům. Z toho ale samo o sobě nelze vyvodit, že pronikli do interních systémů nebo získali citlivá data.

Podle dostupných informací by útok neměl narušit zdravotní systém. Není však uvedeno, na základě jakého šetření k tomuto závěru úřad dospěl ani zda je vyšetřování již uzavřené. Pro firmy je právě tato opatrnost podstatná: výpadek veřejného webu může být jasně viditelný, zatímco rozsah incidentu se často zjišťuje až následně.

2. Proč to není jen kuriozita

Na první pohled může jít o relativně omezený incident. Nejde o zprávu, že by nefungovaly zdravotnické služby, byly vyřazeny nemocniční systémy nebo došlo k potvrzenému úniku dat. Napadený veřejný web může působit jako méně závažný problém než útok na klíčovou infrastrukturu.

To ale neznamená, že je bez významu. Web státní instituce je součástí jejího veřejného fungování a důvěryhodnosti. Návštěvníci ho používají jako zdroj oficiálních informací. Pokud je nedostupný nebo na něm útočníci zveřejní vlastní sdělení, instituce ztrácí kontrolu nad jedním ze svých komunikačních kanálů. I kdyby nedošlo k žádnému zásahu do zdravotnických systémů, veřejnost nemůže v danou chvíli běžným způsobem ověřit, zda jsou informace na webu úplné a aktuální.

Incident také ukazuje rozdíl mezi technickým rozsahem útoku a jeho reputačním dopadem. Zranitelnost na webu nemusí automaticky znamenat průnik do celé organizace. Zároveň ale veřejně viditelný zásah vysílá signál, že některá část digitálního prostředí nebyla dostatečně zabezpečená nebo aktualizovaná. U státní instituce je tento signál citlivější, protože se netýká pouze samotného provozovatele, ale také důvěry lidí a dalších organizací, které jeho informace využívají.

Pro firmy platí stejná logika. Firemní web může být oddělený od interních aplikací a databází, přesto je součástí značky a vztahu se zákazníky. Jeho napadení proto nelze automaticky označit za „malý incident“ jen proto, že nebyla zasažena výroba, účetnictví nebo zákaznický systém. Veřejná nedostupnost a změna obsahu mohou být samy o sobě obchodním a komunikačním problémem.

3. Co si z toho odnést

První poučení je jednoduché: veřejný web je třeba považovat za součást bezpečnostního perimetru, i když není přímo napojený na kritické interní systémy. Zranitelnost na něm může vést k výpadku, pozměnění obsahu nebo k situaci, kdy organizace musí komunikaci dočasně přesunout jinam.

Druhé poučení se týká reakce. Z dostupných informací o útoku na SZÚ zatím není možné určit, zda šlo pouze o zásah do webu, nebo zda měl incident širší rozměr. Firmy by proto neměly zaměňovat první viditelný projev za celý rozsah problému. Napadenou stránku je nutné vnímat jako podnět k prověření souvisejících účtů, přístupů a systémů. Konkrétní technické kroky ani výsledky šetření ale v tomto případě zveřejněny nebyly.

Třetí poučení je komunikační. Pokud web nefunguje nebo na něm byl zveřejněn cizí obsah, organizace by měla mít připravený náhradní kanál, jehož prostřednictvím vysvětlí, co je potvrzené a co se teprve prověřuje. U SZÚ je v tuto chvíli podstatné zejména to, že napaden byl oficiální web, zatímco narušení zdravotního systému z dostupných informací nevyplývá.

Případ tedy není důkazem, že útok na web automaticky znamená kompromitaci celé organizace. Je ale připomínkou, že i zdánlivě vedlejší digitální služba může být vstupním bodem k incidentu, viditelným symbolem bezpečnostního selhání a problémem pro důvěryhodnost.